Personuppgiftsbiträdesavtal

När en leverantör hanterar personuppgifter åt dig – till exempel ett lönesystem, en molntjänst eller en redovisningsbyrå – ska ni ha ett personuppgiftsbiträdesavtal (PUB-avtal).

Ansvarig och biträde

Du är personuppgiftsansvarig och bestämmer varför och hur. Leverantören är biträde och får bara göra det du instruerar.

Krav i GDPR

Avtalet ska bland annat reglera vad som behandlas, säkerhet, sekretess, underbiträden och vad som händer när avtalet upphör.

Ofta standard

Stora molntjänster har ofta färdiga avtal som du godkänner i kontoinställningarna.

Tredjeland

Om uppgifter hanteras utanför EU/EES krävs att överföringen har stöd i GDPR.

Gör så här

Lista alla leverantörer som har tillgång till personuppgifter.
Kontrollera om ni har ett PUB-avtal med var och en.
Läs igenom eller godkänn leverantörens standardavtal.
Kontrollera var uppgifterna lagras och om underbiträden används.
Spara avtalen tillsammans med registret över behandlingar.

Vanliga misstag

Att tro att leverantören har hela ansvaret.
Att glömma små verktyg, som formulär- och bokningstjänster.
Att inte veta om uppgifterna lagras utanför EU.

Sök efter ”DPA” eller ”Data Processing Agreement” hos dina leverantörer. Det är det engelska namnet på avtalet.

Källa: Integritetsskyddsmyndigheten (IMY)